物聯網的資訊風險— 你方便,故我在

文/何宗武 世新大學財務金融學系特聘教授

VR,AI,還是機器人,未來的資訊時代應該就是由物聯網(iOT=Internet of Anything)去想像,在金融市場的這一端正是亂喊亂叫金融科技FinTech和保險科技InsurTech。最近幾年的電腦展,物聯網科技最吸引人的就是一堆稀奇古怪的「便利」:只要上網註冊,就可以透過掌上API遠端遙控家中的電器;例如,冰箱,電燈,冷氣等等。資安風險是人人都會講的四個字,然而除了專家,卻不是很多人能夠瞭解資訊產品風險結構如何。另一方面,資安風險的評估,牽涉到保險和交易成本,因此,本文就來談談這一塊還蠻被忽略的財經面向。

有很多物聯網家用電器,都出現風險漏洞,例如,飛利浦(Philips Hue Lighting System)的iOT燈系統;因為這類iOT燈系統在台灣還沒有很普及,本文就以飯店或公共場所常用的自動鎖為範例,如圖是稱為Onity Lock的物聯網鎖。大家應該多少住過飯店,在櫃台登記後,服務人員會給你一張磁卡,讓你可以刷卡進房。世新大學管理學院的辦公室也是類似的系統,每間辦公室門卡,都在機房設定權限。

27332641_10155903242692906_1369915540006305317_n

Onity 鎖(取自鎖公司網站:http://en.onity.com/products/Pages/Trillium-Locks.aspx)

風險問題就在兩面:磁卡和鎖。先講磁卡,下圖是一張標準的信用卡範例,有三個區塊:1是磁帶,2是簽名,3是安全驗證碼(CSC: Card Security Code)。信用卡有三個區塊來確認安全,可是一般的房卡只有磁帶區。我們每天在用的悠遊卡,也多只有磁帶區。磁帶區內有三個磁軌(Tracks),目前並沒有法令規定磁軌的使用限制:磁軌1和2是金融業用來發行ATM和信用卡的區域,房卡則自然使用了磁軌3。磁軌3有一些位元特性:

  • 16位元的身份辨識區。記錄使用者身份。例如,世新大學管院研究室的門卡,記錄了教師員工編號。飯店則記錄了客人代號,如果是清潔人員的萬用卡,就是員工編號。
  • 16位元的有效日期。
  • 8位元的其他用途。
  • 24位元的鎖碼keycode。Keycode同時也透過程式寫入硬體的門鎖,因此只要卡和鎖確認後,門就可以打開。

這個磁區經過sitecode加密後,必須使用特定的軟體才可以解開。所謂的特定軟體加密並不特別。舉例,如果你用WORD打開EXCEL檔案,只會出現一堆亂碼,看不到欄位數字;如果用EXCEL打開就一覽無遺了。

26993567_10155903266232906_5604448092991084782_n

信用卡背面範例

這裡的資安問題在於只要keycode被解開,門就被打開,然後裡面的財物自然要算一算損失。我們再看第二面風險。

風險的第二面是硬體門鎖。就像所有的手機都有一條外接線,可以接上USB充電一樣,門鎖的下方有一個孔,這個孔的對應接入器稱為Programming Port(PP),廠商一定附贈一個號稱特製的PP,PP帶一條線,可以插入門鎖,讀取sitecode,就可以把門打開。很不幸的,PP不是什麼了不起的東西,Arduino販賣的微控制器(microcontroller),網購約30美金,就可以輕易的插進去。破解這種家家酒式的加密,對於初級駭客簡直是小菜一碟。

類似Las Vegas的電影情節,2012美國某些高檔飯店住進了一批駭客,進入了高檔客房,帶走了可觀的財物。這些問題,受害者如果是飯店,多半怕影響生意,多不敢聲張,能私了就私了。所以,用想的就知道很可觀。

在資訊技術端,資安風險是被駭的機率。但是,統計決策的風險是預期損失的函數(Loss function),也就是這個被駭的機率帶來的預期損失。物聯網大未來,吸引人的科技生活將一一出現在眼前。買房子要買智能住宅,買車子要買有自動定位功能的汽車,買家電要買可以自動報告食物保鮮期還有多久的冰箱。天下沒有白吃的午餐,當萬物皆可「聯」,萬物也皆可「憐」。依賴科技嗎?還是小心一點比較好:辦公室不要放貴重物品,住飯店出門時,貴重物品要隨身帶著。科技吹的再炫,須知一山還有一山高。如果擔心資安,就弄清楚整個物聯網商品的認證邏輯,弄清楚後,就會知道要如何降低風險。甚至,保險在此也應該有一個對等的金額。

本文雖然沒有詳談物聯網燈俱的問題,但是,追蹤一陣子的發現,目前物聯網燈俱系統的漏洞,給予駭客很大的創業機會:用你的電費,開他的燈。甚至,惡作劇的駭客,你上班後就把你家的燈全開了,下班就自動關燈。看到帳單也搞不清楚是什麼回事。此文結束前,確認美國幾家iOT的燈俱商,對此依然沒有明確的解釋。

筆者截稿之時,日本驚傳史上最大虛擬貨幣竊案,損失金額580億日幣,合台幣超過155億。

26233470_10155842908907906_207625424063704030_o

隨時補充新觀點,《立報傳媒》Line→http://bit.ly/2YyjUW1